内容摘要：登录web服务器，本质上就是一次加密的HTTP请求。你打开浏览器输入地址，敲下回车，浏览器把一串字符打包发给服务器，服务器验证你的身份，然后丢给你一个会话凭证。就这么简单，但很多人卡在了“验证”这一步

登录web服务器，何登本质上就是服务一次加密的HTTP请求。你打开浏览器输入地址，何登敲下回车，服务浏览器把一串字符打包发给服务器，何登服务器验证你的服务身份，然后丢给你一个会话凭证。何登就这么简单，服务但很多人卡在了“验证”这一步。何登 拿我自己的服务服务器举例。我跑的何登是Nginx + PHP，部署在阿里云上。服务第一次登录时，何登我直接输入IP地址，服务浏览器弹出来一个403 Forbidden——权限不够。何登这不是服务器坏了，是它压根不知道我是谁。我需要一个用户名和密码，但Nginx默认不提供登录界面，得靠应用层自己处理。 最常见的做法是用HTTP Basic Auth。你在服务器上建一个`.htpasswd`文件，里面存用户名和密码的哈希值。然后在Nginx配置里加两行： ``` auth_basic "Restricted"; auth_basic_user_file /etc/nginx/.htpasswd; ``` 重启Nginx后，再访问那个路径，浏览器会弹出一个原生对话框，要求输入账号密码。输对了就放行，输错了就401。这个方法简单粗暴，适合临时保护，但密码是明文传输的，除非你用HTTPS，否则别指望它有多安全。 但如果你面对的是一个真正的web应用，比如WordPress或者自己写的后台，那登录逻辑就复杂多了。通常流程是：你提交一个表单，里面包含用户名和密码。服务器收到后，去数据库里比对，如果匹配，就生成一个随机的session ID，存在服务器内存里，同时把这个ID作为cookie发回你的浏览器。之后你每次请求，浏览器自动带上这个cookie，服务器一看session ID有效，就知道是你了。 有个坑我踩过。当时我写了个登录接口，用户输入密码后，我直接用明文比对数据库。结果有一天，数据库被拖库了，所有密码赤裸裸地暴露在日志里。后来我改成用`password_hash()`存储哈希值，登录时用`password_verify()`验证。这个改动花了半小时，但把安全等级提升了一个档次。 还有个细节容易被忽略——登录后的跳转。很多人以为登录成功就完事了，其实服务器端需要处理重定向逻辑。比如你登录后，应该跳转到仪表盘还是上次访问的页面？这个状态要存在session里。我习惯在登录成功后，先检查session里有没有`redirect_url`，有就跳过去，没有就回首页。 当然，现在很多框架帮你把这些都封装好了。Laravel有内置的Auth系统，Django有自带的登录视图。你只需要配置好数据库表，调用几行代码就能实现登录。但理解底层原理依然重要，因为当你遇到“登录后刷新就掉线”或者“cookie跨域失效”这类问题时，不懂session机制就只能瞎猜。 最后说个实战技巧。如果你用curl测试登录接口，可以这样： ``` curl -c cookies.txt -d "username=admin&password=secret" http://your-server.com/login ``` `-c`参数把服务器返回的cookie存到文件里。下次请求带上`-b cookies.txt`，就能保持登录状态。这个命令在调试时特别有用，能让你看清楚服务器到底返回了什么。 登录web服务器，别把它想得太玄乎。它就是一次身份确认，外加一个状态维持。你把这两件事搞明白了，剩下的都是细节。